Oracle Simphony POS : six failles, dont une avec exploit public
Six failles sans authentification du POS Oracle Hospitality Simphony, un proof of concept public publié. Correctifs des CPU juillet et août 2026.
Qui est touché
- Oracle Hospitality Simphony 19.8 à 19.8.5, 19.9 à 19.9.3 et 19.10 (CPU de juillet 2026)
- Oracle Hospitality Simphony 19.8 à 19.8.5, 19.9 à 19.9.3 et 19.10 à 19.10.1 (CPU d'août 2026)
- Caisses et serveurs POS Simphony en exploitation dans les établissements : restaurants, bars, room service, spa, salles de conférence
- Interfaces d'administration et services HTTP du POS joignables depuis un réseau clients, un VLAN congrès ou Internet
Comment corriger
Appliquer les correctifs des mises à jour de sécurité Oracle des 21 juillet et 18 août 2026 (CPU), seules corrections publiées pour les versions 19.8 à 19.10.1. Demander par écrit à l'intégrateur quel build Simphony tourne dans chaque établissement, à jour ou non, avec date de dernière mise à niveau. Vérifier que les services HTTP du POS et son interface d'administration ne sont joignables ni depuis Internet, ni depuis le Wi-Fi clients ou congrès : des règles de pare-feu doivent limiter ces ports au seul réseau opérationnel de l'établissement. Traiter CVE-2026-60591 comme la plus urgente des six : un proof of concept public existe. En cas d'exposition découverte avant correctif, auditer la période depuis le 21 juillet ; Oracle n'a pas publié d'indicateurs de compromission.
Ce qui s'est passé
Oracle a corrigé en juillet puis en août 2026 six vulnérabilités du composant POS d'Oracle Hospitality Simphony, son système de point de vente destiné à la restauration et à l'hôtellerie. Sur les fiches publiées par le NVD, les six se pilotent via HTTP, sans aucune authentification préalable, à distance. Les mises à jour de sécurité des 21 juillet et 18 août 2026 (« CPU », corrective security patches trimestriels d'Oracle) apportent les corrections pour les versions 19.8 à 19.10.1.
| CVE | Score CVSS 3.1 | Impact d'une attaque réussie | Correctif |
|---|---|---|---|
| CVE-2026-60167 | 7,5 | Accès complet aux données accessibles par Simphony | CPU juillet 2026 |
| CVE-2026-60168 | 9,1 | Création, suppression ou modification de données critiques et déni de service complet | CPU juillet 2026 |
| CVE-2026-60169 | 8,1 | Prise de contrôle de Simphony (défaut d'authentification, CWE-306) | CPU juillet 2026 |
| CVE-2026-60170 | 7,5 | Accès complet aux données accessibles par Simphony | CPU juillet 2026 |
| CVE-2026-60590 | 7,5 | Accès complet aux données accessibles par Simphony | CPU août 2026 |
| CVE-2026-60591 | 9,1 | Création, suppression ou modification de données critiques et déni de service complet | CPU août 2026 |
Oracle juge cinq de ces six failles « facilement exploitables » ; seule CVE-2026-60169 est classée difficile à exploiter, tout en aboutissant à la prise de contrôle du produit. Le CPU d'août a élargi la liste des versions concernées à 19.10.1, la plus récente au moment des correctifs.
À la date de cette fiche, ni Oracle ni le NVD ne signalent d'exploitation dans la nature. L'évaluation SSVC publiée sur les fiches NVD classe cinq des six CVE en « none » ; CVE-2026-60591 y apparaît en « poc », signe qu'un code de démonstration publique circule, sans usage constaté. Aucune des six ne figure au catalogue KEV de la CISA, qui recense les vulnérabilités exploitées et à corriger en priorité.
Pourquoi c'est important pour un hôtel
Simphony équipe les points de vente d'un établissement : restaurants, bars, room service, spa ou salles de conférence, avec les additions, les fiches clients et l'historique des ventes. Le vecteur publié est un simple accès réseau HTTP : ni identifiant, ni mot de passe. La question utile n'est donc pas « avons-nous un compte faible », mais « quelle adresse joignable expose le service POS ». Le POS vit en principe sur le réseau opérationnel de l'établissement ; s'il est joignable depuis le Wi-Fi clients, le réseau d'un centre de congrès ou, plus grave, depuis Internet, n'importe quel scanneur automatique peut le découvrir. Les impacts publiés parlent de lecture et de modification des données de l'application, de coup de service, et pour CVE-2026-60169 de prise de contrôle complète. Oracle ne précise pas si des données de cartes bancaires font partie du périmètre exposé ; cette vérification relève de l'acquéreur et de l'étude de conformité PCI DSS de l'établissement.
Qui est touché
Les versions 19.8 à 19.8.5, 19.9 à 19.9.3 et 19.10 pour les quatre CVE du CPU de juillet, et les mêmes gammes étendues à 19.10.1 pour les deux CVE du CPU d'août, selon le NVD. Les correctifs s'appliquent directement aux déploiements sur site ; pour une instance hébergée, la question du moment d'application se pose au fournisseur et à l'intégrateur.
Comment corriger
- Demander par écrit à l'intégrateur quel build Simphony tourne dans chaque établissement (19.8 à 19.10.1) et si les mises à jour des 21 juillet et 18 août 2026 y sont appliquées, avec date.
- Planifier la mise à niveau avec l'intégrateur ; traiter CVE-2026-60591 en priorité si le service est exposé, car un proof of concept public existe.
- Vérifier que les services HTTP du POS et son interface d'administration ne sont joignables ni depuis Internet, ni depuis le Wi-Fi clients ou congrès : les règles de pare-feu doivent limiter ces ports au seul réseau opérationnel.
- Si une exposition est découverte avant correctif, auditer la période depuis le 21 juillet : requêtes HTTP anormales vers le service POS, écarts d'inventaire ou de caisse, redémarrages inexpliqués. Oracle n'a pas publié d'indicateurs de compromission.
- Conserver la preuve écrite des réponses de l'intégrateur : c'est le contrat de service qui garantit le correctif, pas la bonne volonté du moment.
Contexte
Deux vagues en deux mois sur le même composant témoignent d'un travail de recherche soutenu sur le POS de l'éditeur. Le point d'entrée du correctif reste identique pour les six CVE : les mises à jour trimestrielles Oracle, qui supposent un plan de maintenance chez l'hôtel ou son intégrateur. Pour un directeur d'établissement, la leçon n'est pas seulement technique. La vitesse à laquelle un correctif fournisseur atteint les caisses dépend du contrat signé avec l'intégrateur : c'est cette clause, et la date de son dernier exercice, qu'il faut demander avant la prochaine vague.